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Beschreibung 

Verfahren und Anordnung zur Unterdruckung von Falschmeldungen 
in Oberwachungssystemen 

Die Erfindung betrifft ein Verfahren und eine Anordnung zur 
Unterdruckung von Falschmeldungen in Oberwachungssystemen fiir 
elektronische Gerate, insbesondere fiir Sensorschaltungen fur 
Kraf tf ahrzeuge . 

Aus Sicherheitsgrunden werden haufig Oberwachungssystetne ftir 
elektronische Gerate eingesetzt, bei denen eine durch einen 
Fehler im Gerat verursachte falsche Ausgangsgrofte Gefahren 
hervorrufen kann. So muss vermieden werden, dass durch Fehler 
in Sensorschaltungen fur Kraf tf ahrzeuge gefahrliche Fahrsitu- 
ationen entstehen, beispielsweise wenn ein Drehratensensor 
eine hohe Drehrate meldet, wahrend das Fahrzeug seinen Kurs 
beibehalt. Es konnen jedoch auch Gefahren mindestens jedoch 
BetriebsstSrungen durch Falschmeldungen auftreten. Ursachen 
far Falschmeldungen k6nnen beispielsweise kurzzeitige Storun- 
gen - insbesondere Spannungsspitzen - sein, die von Oberwa- 
chungssystemen als Fehler gedeutet werden, ohne dass sie zu 
einer Verf&lschung der Ausgangsgrofie des Gerates fuhren. 

Aufgabe der vorliegenden Erfindung ist es, Falschmeldungen 
weitgehend zu verhindern, so dass moglichst nur echte Fehler 
zu einem Alarm fuhren, der dann angezeigt oder zum Ignorieren 
der Ausgangsgrofie einem iibergeordneten System zugefiihrt wer- 
den kann . 

Diese Aufgabe wird erf indungsgemafl dadurch gelost, dass Feh- 
lermeldungen einen ZShler inkrementieren und dass ein Alarm 
erst bei Erreichen eines vorgegebenen ZShlerstandes ausgeldst 



wird. Vorzugsweise ist dabei vorgesehen, dass der Zahler nach 
Zeitabschnitten ohne Fehlermeldung dekrementiert wird. 

Durch eine Weiterbildung des Verfahrens, bei der vorgesehen 
ist, dass die GroJie der Inkremente und gegebenenf alls der De- 
kremente und der vorgegebene Zahlerstand vorwahlbar sind, 
kann die AuslQsung eines Alarms individuell an die Art der 
jeweiligen Fehlermeldung angepasst werden. Diese Weiterbil- 
dung wird vorzugsweise dadurch realisiert, dass die vorwahl- 
baren GrSJben beim Einschalten des Cerates aus einem nicht- 
fliichtigen Speicher ausgelesen werden. 

Bei den zu iiberwachenden Geraten ist es in der Regel zweckma- 
flig, mehrere GroJien - im folgenden in Bezug auf das erfin- 
dungsgemafte Verfahren Eingangsgr5fien genannt - zu iiberwachen. 
Dazu ist bei dem erf indungsgemafien Verfahren vorgesehen, dass 
von mehreren zu iiberwachenden EingangsgrSJJen Fehlermeldungen 
abgeleitet werden, die je einen Zahler inkrementieren, und 
dass fur jede der zu iiberwachenden Eingangsgrofien die Grdfle 
der Inkremente und gegebenenf alls der Dekremente, der vorge- 
gebene Zahlerstand und Grenzwerte der jeweils zu iiberwachen- 
den Grofie vorwahlbar sind. 

Bei sicherheitsrelevanten Geraten muss haufig sehr schnell 
auf eine Fehlermeldung reag'iert werden. Die Prufung der Feh- 
lermeldungen mit dem erf indungsgemaJJen Verfahren kann jedoch 
insbesondere bei mehreren zu iiberwachenden EingangsgrSflen, 
bedingt durch die endliche Laufzeit des Programms im Prozes- 
sor, langer als zulassig dauern. Dies gilt insbesondere dann, 
wenn zur Vermeidung von Falschmeldungen mehrere Inkrementie- 
rungen bis zum Erreichen des vorgegebenen Zahlerstandes er- 
forderlich sind. 



Eine wesentliche Beschleunigung der Alarmauslosung wird in 
diesen Fallen bei einer Weiterbildung des erf indungsgemafien ' 
Verfahrens damit erreicht, dass mit Hilfe eines auf einem 
Prozessor laufenden Programms Fehlermeldungen abgeleitet wer- 
den, wenn eine der zu tiberwachenden Eingangsgroften jeweils 
fiir sie vorgegebene Grenzwerte uberschreitet, dass durch die 
Fehlermeldungen der jeweilige Zahler inkrementiert wird, dass 
der Zahlerstand daraufhin uberpriift wird, ob mindestens eine 
Fehlermeldung vorliegt, und dass zutref f endenf alls fiir die 
betroffene EingangsgroBe vorzeitig eine weitere Prtifung er- 
folgt. Damit wird erreicht, dass die Oberwachung einer GroBe, 
die bereits durch eine Fehlermeldung auf gef alien ist, zeit- 
lich bevorzugt erfolgt. Liegen mehrere solcher Fehlermeldun- 
gen vor, wird vorzugsweise die weitere Oberpriif ung derart er- 
folgen, dass bei Vorliegen von Fehlermeldungen fur mehrere 
EingangsgroBen die vorz'eitige weitere Prtifung dieser Ein- 
gangsgrSBen nach einer zuvor festgelegten Prioritatenliste 
erfolgt. 

Die Erfindung umfasst ferner eine Anordnung zur Unterdriickung 
von Falschmeldungen in Oberwachungssystemen fiir elektronische 
Gerate, insbesondere fiir Sensorschaltungen fur Kraftf ahrzeu- 
ge, bei der vorgesehen ist, dass in einem Mikroprozessor ein 
Programm lauffahig ist, mit welchem Fehlermeldungen abgelei- 
tet werden, wenn eine der zu iiberwachenden Eingangsgroiien je- 
weils fiir sie vorgegebene Grenzwerte uberschreitet, und mit 
welchem ferner durch die Fehlermeldungen der jeweilige Zahler 
inkrementiert wird, der Zahlerstand daraufhin uberpriift wird, 
ob mindestens eine Fehlermeldung vorliegt, und zutref fenden- 
falls fiir die betroffene EingangsgrSBe vorzeitig eine weitere 
Prtifung erfolgt. 



Die Erfindung lasst zahlreiche Ausf iihrungsf ormen zu. Eine da- 
von ist schematise* in der Zeichnung anhand mehrerer Figuren 
dargestellt und nachfolgend beschrieben. Es zeigt: 

Figur 1 ein Blockdiagramm des Ausfiihrungsbeispiels, 

Figur 2 Zeitdiagramme verschiedener Signale, bei dem in 
Fig. 1 dargestellten Blockdiagramm und 

Figur 3 ein Flussdiagramm eines das erf indungsgemafie Ver- 
fahren ausfuhrenden Programms. 

Die Anordnung nach Figur 1 ist der Einfachheit halber nur fur 
eine zu iiberwachende Eingangsgrofte dargestellt, die an einem 
Eingang 1 anliegt. Zunachst erfolgt bei 2 eine Priifung, ob 
die Eingangsgrofie in einem zulassigen Bereich zwischen Min 
und Max liegt. Ist dieses nicht der Fall, wird eine Fehler- 
meldung an einen Fehlerzahler 3 - im Folgenden auch einfach 
Zahler genannt - weitergeleitet . Bei Vorliegen einer Fehler- 
meldung wird der Zahler 3 urn ein Inkrement I herauf gesetzt , 
das als Anzahl von Zahlschritten vorgegeben ist. Liegt in dem 
jeweiligen Zeitabschnitt (Programmdurchlauf ) keine Fehlermel- 
dung vor, wird der Zahler 3 urn ein Dekrement D herabgesetzt , 
das ebenfalls als Zahl von Zahlerschritten vorgegeben ist. 
Erreicht der Zahlerstand einen vorgegebenen Schwellwert A, 
wird in einem AlarmauslSser 4 ein Alarm ausgelSst und ttber 
einen Ausgang 5 abgegeben. t)ber einen Oberwachungsausgang 6 
kann der jeweilige Zahlerstand ausgelesen werden. 

Beim Einschalten des Cerates werden aus einem EEPROM 7 die 
vorgegebenen Werte ausgelesen, namlich der maximal und der 
minimal zulassige Wert Max, Min des Eingangssignals, die Zahl 
der Zahlschritte I und D sowie der Schwellwert A. Ferner wird 
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tiber einen Eingang 8 der Zahler 3 zuruckgeset zt . Der gestri- 
chelt umrandete Teil der Figur 1 ist jeweils einmal ftir eine 
Eingangsgrofie vorhanden und ist vorzugsweise durch ein Pro- 
gramm fiir einen Prozessor realisiert, wobei die vorgegebenen 
GroBen individuell fur jede EingangsgrSBe im EE PROM 7 abge- 
legt und beim Einschalten in den Arbeitsspeicher des Prozes- 
sors geladen werden. Die Ausgange 5, 6, die den Alarmauslo- 
sern fur die verschiedenen EingangsgrdBen zugeordnet sind, 
konnen in geeigneter Weise zusanunengef asst werden. 

.Mit den Schwellwerten kann der Alarm bei Oberschreitung be- 
stimmter zu uberwachender EingangsgroBen gezielt unterdriickt 
werden, indem ftir diese EingangsgroBen der Schwellwert auf 
"0" gesetzt wird. Diese Schwellwertangabe wird als Kommando 
interpretiert, mit dem die entsprechend ausgelegten Alarmaus- 
lQser blockiert werden. Der Fehler zahler zur Prufung dieser 
EingangsgroBen hat somit keine Auswirkung mehr auf das Auslo- 
sen des Alarms. 



Figur 2 stellt in Zeile a einen beispielhaf ten Verlauf der 
AusgangsgrSBe der Bereichspruf ung 2 dar. Als Beispiel sei an- 
genommen, dass nach einer fehlerfreien Zeit eine Fehlermel- 
dung 11 auftritt, dann wiederum ein Zeitabschnitt ohne Fehler 
und dann zwei Fehlermeldungen 12, 13 hintereinander . 

Zeile b stellt den Verlauf des Zahlerstandes dar fur den 
Fall, dass jeweils eine Fehlermeldung 11, 12, 13 den Zahler 
urn einen Zahlschritt inkrementiert und dass die Dekrementie- 
rung im Falle der Abwesenheit einer Fehlermeldung auf D=0 ge- 
setzt ist. Bei dieser Einstellung werden also keine Fehler- 
meldungen wieder "vergessen", so dass die absolute Zahl der 
Fehlermeldungen bis zum nachsten Rticksetzen (Einschalten des 
Cerates bzw. Ausschalten) gespeichert bleiben. Ist also bei 
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dem in Figur 2b dargestellten Fall der Schwellwert auf 3 ge- 
setzt, wird aufgrund der Fehlermeldung 13 ein Alarm ausge- 
16st. 

Figur 2c bezieht sich wiederum auf das Auftreten von Fehler- 
meldungen gemaii Figur 2a, I ist jedoch auf 3 und D auf 1 ge- 
setzt. Durch dicht auf einanderf olgend auftretende Fehlermel- 
dungen geht der Zahlerstand schnell in die Hone, bei Ausblei- 
ben von Fehlermeldungen fallt er langsamer. Damit fiihren Hau- 
fungen von Fehlermeldungen zu einem Alarm, wenn der Schwell- 
wert A groBer als D eingestellt ist. 

Das in Figur 3 ausschnittsweise dargestellte Programm durch- 
lauft eine Schleife, wahrend der alle EingangsgrSBen von 1 
bis n gepriift werden. In den Programmschritten 21, 22 werden 
die ersten beiden Eingangsgroiien gepruft, der jeweilige Zah- 
ler in- bzw. dekrementiert und der Zahlerstand mit dem zuge- 
herigen Schwellwert A verglichen. Danach wird abgefragt, ob 
eine der EingangsgroJJen durch Ober- bzw. Unterschreiten der 
Grenzwerte Max bzw. Min (Figur 1) den Zahler 3 inkrementiert 
hat, was als Warnung angesehen wird. Ist dies nicht der Fall, 
wird nach der Verzweigung 23 das Programm mit der Priifung 
weiterer Eingangsgrdiien fortgesetzt. Liegt jedoch mindestens 
eine Warnung vor, so werden die betroffenen EingangsgroJJen im 
Programmteil 24 erneut gepruft. Dies geschieht nach einer zu- 
vor festgelegten Prioritatenf olge . 

Falls bei einer der Priifungen 21, 22, 24 das Erreichen der 
Alarmschwelle A festgestellt wird, wird ein Alarm ausgelost, 
was in Figur 3 der Obersichtlichkeit halber im Einzelnen 
nicht dargestellt ist. Die letzten beiden EingangsgrOBen 
(n-1) und n werden bei 25 und 26 gepruft, worauf wiederum ei- 
ne Verzweigung in Abhangigkeit davon erfolgt, ob diese Ein- 
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gangsgroJJen zu einer Warnung gefuhrt haben. 1st dies der 
Fall, werden bei 28 die betroffenen EingangsgroJJen erneut ge 
priift. Danach wird das Programm beginnend mit 21 wiederholt. 

Die beschriebene Priifung von zwei EingangsgroJJen einschliefi- 
lich der sofortigen weitereh Priifung bei 24 benotigt bei ei- 
nem praktisch ausgefiihrten Programm etwa 5 ms. Wird eine ma- 
ximale Reaktionszeit fur eine Fehlermeldung von 25 ms zuge- 
standen, so konnen zehn Eingangsgroiien gepruft werden. Je 
nach Anforderungen im Einzelnen kann die Reihenfolge der Pru 
fungen auch geandert werden. So konnen beispielsweise drei 
oder mehr EingangsgroJJen gepruft werden, bevor auf eine so- 
fortige weitere Priifung derjenigen EingangsgroJJen iibergegan- 
gen wijrd, fur die eine Warnung aktiv ist. In anderen Fallen 
kann auch vorgesehen sein, dass nach Oberpriifung jeder Ein- 
gangsgroJJe entschieden wird, ob diese unmittelbar danach 
nochmals gepruft werden soli. 
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Patentansprtiche 



1. Verfahren zur Unterdrilckung von Falschmeldungen in Ober- 
wachungssystemen fur elektronische Gerate, insbesondere 
5 fiir Sensorschaltungen fur Kraf tf ahrzeuge, d a d u r c h 

gekennzeichnet, dass Fehlermeldungen einen 
Zahler inkrementieren und dass ein Alarm erst bei Errei- 
chen eines vorgegebenen Zahlerstandes ausgelost wird. 

10 2. Verfahren nach Anspruch 1, dadurch gekenn- 
zeichnet, dass der Zahler nach Zeitabschnitten 
ohne Fehlermeldung dekrementiert wird. 

3, Verfahren nach einem der Ansprttche 1 oder 2, d a - 
15 durch gekennzeichnet, dass die GroBe 

der Inkremente und gegebenenf alls der Dekremente und der 
vorgegebene Zahlerstand vorwahlbar sind. 



20 



i. Verfahren nach Anspruch 3, dadurch gekenn- 
zeichnet , dass die vorwahlbaren GroBen beirn Ein- 
schalten des Cerates aus einem nichtf luchtigen Speicher 
ausgelesen werden.. 

5. Verfahren nach einem der vorhergehenden Anspriiche, 
25 dadurch gekennzeichnet, dass von meh- 

reren zu iiberwachenden Eingangsgrofien Fehlermeldungen 
abgeleitet werden, die je einen Zahler inkrementieren, 
und dass fur jede der zu iiberwachenden Eingangsgrofien 
die GroBe der Inkremente und gegebenenf alls der Dekre- 
mente, der vorgegebene Zahlerstand und Grenzwerte der 
jeweils zu iiberwachenden GrdBe vorwahlbar sind. 



30 



ZUUJPU 7733 



DE 



10 



6. Verfahren nach einem der vorhergehenden Anspruche,. 

dadurch gekennzeichnet, dass mit Hil- 
fe eines auf einem Prozessor laufenden Programms Fehler- 
meldungen abgeleitet werden, wenn eine der zu tiberwa- 
chenden EingangsgroJien jeweils fur sie vorgegebene 
Grenzwerte uberschreitet , dass durch die Fehlermeldungen 
der jeweilige Zahler inkrementiert wird, dass der Zah- 
lerstand daraufhin uberpruft wird, ob mindestens eine 
Fehlermeldung vorliegt, und dass zutref f endenf alls fur 
die betrof fene EingangsgroJie vorzeitig eine weitere Pru- 
fung erfolgt. 



7. Verfahren nach Anspruch 6, dadurch gekenn- 
zeichnet,. daiss bei Vorliegen von Fehlermeldungen 

15 fur mehrere EingangsgroJien die vorzeitige weitere Pru- 

fung dieser EingangsgroJJen nach einer zuvor festgelegten 
Prioritatenliste erfolgt. 

8. Anordnung zur Unterdruckung von Falschmeldungen in Uber- 
20 wachungssystemen fttr elektronische Gerate, insbesondere 

fur Sensorschaltungen fur Kraf tf ahrzeuge, dadurch 
gekennzeichnet, dass in einem Mikroprozessor 
ein Programm lauffahig ist, mit welchem Fehlermeldungen 
abgeleitet werden, wenn eine der zu uberwachenden Ein- 
25 gangsgroJ3en jeweils fur sie vorgegebene Grenzwerte uber- 

schreitet, dass durch die Fehlermeldungen der jeweilige 
Zahler inkrementiert wird, dass der Zahlerstand darauf- 
hin Uberpruft wird, ob mindestens eine Fehlermeldung 
vorliegt, und dass zutref f endenf alls filr die betroffene 
30 EingangsgroJie vorzeitig eine weitere Prufung erfolgt. 
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Zusammenf assung 

Verfahren und Anordnung zur Unterdruckung von Falschmeldungen 
in (Jberwachungssystemen 

5 

Bei einem Verfahren und einer Anordnung zur Unterdruckung von 
Falschmeldungen in Oberwachungssystemen ftir elektronische Ge- 
rate, insbesondere fur Sensorschaltungen fur Kraf tf ahrzeuge, 
inkrementieren Fehlermeldungen einen Zahler. Ein Alarm wird 
10 erst bei Erreichen eines vorgegebenen Zahlerstandes ausge- 
lost. 

Figur 1 
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Set up data in EEPROM 
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Warning active? 



Perform highest 
priority check with 
warning active 
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Check n-1 
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Check n 
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<^ Warning active? — 



Perform highest 
priority check with 
warning active 
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Fig.3 



